211service.com
Hitze von Fingerspitzen könnte Geldautomaten-Hackern helfen
Die von Bankkunden eingetippten Geheimcodes können mit der auf der Tastatur hinterlassenen Restwärme aufgezeichnet werden, sagt eine Forschergruppe der University of California in San Diego.
Heißer Hacker: Oben ist eine typische ATM-Tastatur abgebildet. Unten sehen Sie ein Wärmebild, das unmittelbar nach der Verwendung aufgenommen wurde. Der Code war in diesem Fall 1485.
Das Papier der Gruppe, das Anfang dieses Monats auf dem USENIX-Workshop zu Offensiven Technologien vorgestellt wurde, zeigt, dass eine digitale Infrarotkamera bei sofortiger Verwendung die Ziffern der PIN eines Kunden auf der Tastatur in mehr als 80 Prozent der Fälle lesen kann. Und wenn die Kamera eine Minute später zum Einsatz kommt, kann sie, sagt Keaton Mowery, Doktorand in Informatik an der UCSD, noch etwa die Hälfte der Zeit die richtigen Ziffern erkennen.
Die Forschung, die Mowery zusammen mit Kommilitonin Sarah Meiklejohn und Professor Stefan Savage durchgeführt hat, basiert auf früheren Arbeiten des bekannten Sicherheitsforschers Michal Zalewski, der 2005 mit einer Infrarotkamera Codes in einem Tresor mit Tastensperre erkennt. Während Zalewski die Codes selbst nach fünf Minuten erkennen konnte, fanden die UCSD-Forscher heraus, dass die Chance, die richtigen Ziffern zu extrahieren, nach 90 Sekunden auf etwa 20 Prozent sank.
Die Infrarotmethode kann Abwehrstrategien umgehen, wie zum Beispiel das Abschirmen der Tastatur. Ein ATM-Benutzer könnte sich dieser Infrarotüberwachung jedoch entziehen, indem er einfach eine Hand über die gesamte Tastatur legt, um alle Tasten aufzuwärmen, sagt Mowery. Und wenn ein Geldautomat die Tastaturen auch für die Eingabe anderer Zahlen nutzt, etwa den Geldbetrag zum Abheben, trage er zusätzliches Rauschen bei, sagt Meiklejohn.
Die Methode hat auch andere Schwächen. Bei Kunststofftastaturen können wir zwar zuverlässig erkennen, welche Tasten gedrückt wurden, die Reihenfolge sei aber wirklich schwer zu bestimmen, sagt Mowery. Selbst wenn das Bild unmittelbar nach der Eingabe durch den Benutzer aufgenommen wurde, war die Reihenfolge der Ziffern nur in etwa 20 Prozent der Fälle erkennbar.
Und wenn die Tastatur aus Metall ist, fuhgeddaboudit. Wenn Sie die Kamera direkt auf die Metalltastatur richten, wird Ihnen im Wesentlichen der thermische Fingerabdruck von Ihnen, dem Kameramann, angezeigt, und nicht von der Tastatur selbst, sagt Meiklejohn. Wir haben es jedoch nicht gedrückt, weil die Plastiktastatur funktioniert hat. Es ist möglich, dass jemand anderes diese Probleme lösen könnte.
Wenn man all diese Mängel mit den Kosten der Infrarotkamera kombiniert – 2.000 US-Dollar pro Monat für die Miete, etwa 18.000 US-Dollar für den Kauf – ist die Wahrscheinlichkeit gering, dass jemand auf diese Weise einen Geldautomaten angreift, sagt der Forscher Zalewski. Miniatur-Tageslichtkameras seien viel einfacher und zuverlässiger, sagt er. So ist Überfall.